산업 자동화 보안: 최우선 순위가 되어야 하는 이유

COVID-19 이후 산업 자동화가 그 어느 때보다 가속화되었습니다. 이 변화는 효율을 높이지만, 미션 크리티컬 운영을 위태롭게 할 새로운 보안 위험도 초래합니다.

"자동화와 산업 제어 시스템(ICS)에 관해서는 서두름이 낭비 이상을 낳는다는 데 의심의 여지가 없습니다."라고 Analyst Syndicate의 분석가 댄 미클로빅(Dan Miklovic)은 경고합니다. "그것은 치명적이거나 심지어 치명적인 결과로 이어질 수 있습니다."

역사적으로 인간의 감독이 중요 시스템을 유지했습니다. ONE Tech의 솔루션 엔지니어링 디렉터 크리스 캐터턴(Chris Catterton)은 자동화 모니터링이 이제 수동 점검을 능가한다고 지적합니다. 사람이 듣지 못하는 고주파 베어링 소음이나 몇 파운드 차이의 토크 값을 감지합니다.

그러나 자동화에서 보안을 소홀히 하는 것은 위험할 수 있습니다. 하비 전자제품이 기계 제어를 단순화하지만 익숙한 공격 표면도 노출시킵니다. 미클로빅은 내장 보안이 없는 플러그앤플레이 솔루션이 취약점의 홍수를 열 수 있다고 경고합니다. 캐터턴은 그런 제품이 사이버 범죄자의 놀이터가 될 수 있다고 덧붙입니다.

AI 배포에는 신중한 감독 필요

데이터 과학 인재가 부족하고 숙련된 운영자가 COVID-19 제한으로 배제된 상황에서 AI를 산업 워크플로에 서두르는 것은 위험합니다. 미클로빅은 트레이너가 중요한 안전 정보를 놓쳐 안전하지 않은 AI 행동으로 이어질 수 있다고 강조합니다.

최적 조건에서도 소프트웨어는 1,000줄 코드당 1~10개의 버그를 포함할 수 있습니다("The Fifth Domain" 참조). 우주선 같은 미션 크리티컬 시스템도 이 결함률을 보입니다. 수백만 줄 코드에서는 오류 허용 범위가 줄어들며, 실패는 치명적일 수 있습니다.

역사는 뼈아픈 교훈을 줍니다. 1996년 아리안 5(Ariane 5) 참사는 재사용 소프트웨어가 로켓의 더 높은 발사 속도를 처리하지 못해 약 3억 달러 손실을 냈습니다. 2019년 보잉 737 맥스(Boeing 737 Max) 운항 정지는 9달러 시급 개발자에게 소프트웨어를 아웃소싱한 결과 346명의 사망자를 낸 두 건의 치명적 추락으로 이어져 보잉에 180억 달러 비용을 초래했습니다.

원격 접근이 공격 표면 확대

줌(Zoom) 같은 도구를 통한 원격 접근 확대는 영업 비밀과 운영 데이터를 사이버 범죄자에게 노출시킬 수 있습니다. 미클로빅은 제어 시스템의 공용 인터넷 노출이 "알려진 공격 표적"이라고 지적합니다. PAS Global의 COO 마크 캐리건(Mark Carrigan)은 그런 시스템이 한계를 넘어 작동하는 프로세스의 최후 방어선이므로 철저히 보호되어야 한다고 말합니다.

피싱 공격도 더 많은 직원이 특권 접근을 얻으면서 증가합니다. 캐리건은 소셜 엔지니어링 캠페인이 자격 증명을 수집하여 점점 더 접근하기 쉬운 원격 게이트웨이를 통해 제어 환경에 침투할 수 있다고 경고합니다.

부문별 위협 환경

원자력, 석유, 화학 플랜트 같은 중요 인프라는 일반적으로 확립된 프로토콜과 규제 감독이 있어 급속한 변화에 덜 취약합니다. 에너지 유틸리티는 예를 들어 FERC와 NERC 사이버 보안 표준을 준수해야 합니다.

반면 HVAC, 조명, 플랜트 시스템은 오랫동안 원격 관리되어 왔으며 사회적 거리두기 명령의 영향을 덜 받을 수 있습니다. Analyst Syndicate 공동 창업자 프렌치 콜드웰(French Caldwell)은 "중간 계층" 산업 운영이 팬데믹 압력으로 가장 빠른 자동화와 원격 근무 채택을 경험하고 있다고 말합니다.

전략적 고려사항

각 조직은 디지털화의 이점과 느리거나 성급한 배포의 위험 사이에서 균형을 맞춰야 합니다. "자동화는 물리적 자산과 분리될 수 없게 되고 있습니다."라고 Appnomic의 CEO 니틴 쿠마르(Nitin Kumar)는 말합니다. "적절한 디지털 프로세스 통합에 실패하면 비효율적 운영 모델이 만들어집니다."

엔지니어링과 IT 간 협업은 필수적입니다. 특히 위기 시에는 더욱 그렇습니다. 콜드웰은 공동 팀이 신뢰성과 보안을 시스템 중요도에 맞춰 정렬할 것을 촉구합니다. 팬데믹 이후 기업은 자동화와 원격 접근을 재평가하고 확장하여 예기치 못한 사태에 대한 복원력을 높일 수 있습니다.

비즈니스 관점에서 이해관계자는 불확실성 속에서 더 높은 복원력을 요구합니다. 쿠마르는 주주들이 지속적으로 견고한 자동화를 추진할 것이며, 보안은 첫날부터 설계에 내장되어야 한다고 지적합니다. 딜로이트(Deloitte)의 파트너 숀 피즐리(Sean Peasley)는 "보안은 사후 고려가 아닌 처음부터 기능적 요구사항이어야 한다"고 강조합니다.

요약하자면, 산업 자동화는 놀라운 이득을 줄 수 있지만, 보안이 배포의 모든 단계에 내장될 때만 가능합니다. 신중한 계획, 엄격한 테스트, 부서 간 협업이 자동화, AI, 원격 접근의 이점을 누리면서 운영을 보호하는 열쇠입니다.